Взломали вашего подрядчика. Поздравляю, с вас штраф.
Если я что-то делегирую, получивший задание сотрудник несет ответственность за свой блок задач. Логика предпринимателя простая: нанял специалистов, заплатил за обслуживание и защиту — дальше они отвечают за свою работу. Сам-то я продаю мебель, а не ловлю хакеров. Вот только в мире перс. данных все наоборот.
💎 В январе 2026 ВС РФ вынес интереснейшее постановление. В деле IT инфраструктуру Заказчика обслуживал подрядчик. Этого подрядчика взломали, а через него сперли данные у Заказчика. Казалось бы, логично, что за утечку данных накосячил подрядчик, не обеспечивший должной защиты. НО … парам пам пам, все не так.
ВС РФ указал: держатель данных обязан принимать «необходимые организационные и технические меры», контролировать своих подрядчиков, проводить внутренние аудиты. И вот тут проблема уже для любого бизнеса.
💎 Получается, нанять специалистов можно. Но полностью забыть о безопасности после оплаты счёта — уже нет. Как владельцу мебельного магазина проверить, что там настроили удалённые айтишники, — отдельный квест. Видимо, между закупкой диванов и выплатой зарплат нужно ещё немного разобраться в информационной безопасности.
Какие выводы?
💎 Недостаточно написать в договоре: «Подрядчик обязан соблюдать 152-ФЗ и отвечает за безопасность персональных данных». Перед Роскомнадзором оператором остаетесь вы. А значит, вам ещё нужно доказать, что вы контролировали, как подрядчик эти данные защищал.
Что именно контролировать — отдельный квест. Но минимум я бы сейчас проверил в договорах с IT-подрядчиками: какие данные им вообще доступны, кто получает доступ, как он предоставляется и отзывается, какие требования к защите обязан соблюдать подрядчик и как быстро он обязан сообщить вам об инциденте. И лучше тут как минимум обложиться бумажками.
Потому что если подрядчика взломают, фраза «это же не нас взломали» может уже не помочь.
Продолжаем тему «приколов» с персональными данными. На днях консультировал студию разработки ПО и копнул в ответственность за данные при работе с подрядчиками. Новости — не очень. Договоры с айтишниками рекомендую перепроверить примерно… немедленно.
Если я что-то делегирую, получивший задание сотрудник несет ответственность за свой блок задач. Логика предпринимателя простая: нанял специалистов, заплатил за обслуживание и защиту — дальше они отвечают за свою работу. Сам-то я продаю мебель, а не ловлю хакеров. Вот только в мире перс. данных все наоборот.
💎 В январе 2026 ВС РФ вынес интереснейшее постановление. В деле IT инфраструктуру Заказчика обслуживал подрядчик. Этого подрядчика взломали, а через него сперли данные у Заказчика. Казалось бы, логично, что за утечку данных накосячил подрядчик, не обеспечивший должной защиты. НО … парам пам пам, все не так.
ВС РФ указал: держатель данных обязан принимать «необходимые организационные и технические меры», контролировать своих подрядчиков, проводить внутренние аудиты. И вот тут проблема уже для любого бизнеса.
💎 Получается, нанять специалистов можно. Но полностью забыть о безопасности после оплаты счёта — уже нет. Как владельцу мебельного магазина проверить, что там настроили удалённые айтишники, — отдельный квест. Видимо, между закупкой диванов и выплатой зарплат нужно ещё немного разобраться в информационной безопасности.
Какие выводы?
💎 Недостаточно написать в договоре: «Подрядчик обязан соблюдать 152-ФЗ и отвечает за безопасность персональных данных». Перед Роскомнадзором оператором остаетесь вы. А значит, вам ещё нужно доказать, что вы контролировали, как подрядчик эти данные защищал.
Что именно контролировать — отдельный квест. Но минимум я бы сейчас проверил в договорах с IT-подрядчиками: какие данные им вообще доступны, кто получает доступ, как он предоставляется и отзывается, какие требования к защите обязан соблюдать подрядчик и как быстро он обязан сообщить вам об инциденте. И лучше тут как минимум обложиться бумажками.
Потому что если подрядчика взломают, фраза «это же не нас взломали» может уже не помочь.